Die Schwachstelle betrifft das WordPress-Formular-Plugin Ninja Forms. Inhalte, die über ein einfaches Textfeld ohne Rich-Text-Editor übermittelt werden, speichert das Plugin unverändert und gibt sie im älteren Editor für eingegangene Formulareinsendungen ohne sichere HTML-Kodierung wieder aus. Dadurch kann ein Angreifer aus dem Textfeld ausbrechen und eigenen Skriptcode dauerhaft in der Datenbank ablegen – eine gespeicherte Cross-Site-Scripting-Schwachstelle. Für den Angriff genügt es, ein öffentlich erreichbares Formular abzuschicken; Zugangsdaten sind nicht erforderlich. Der eingeschleuste Code wird ausgeführt, sobald eine Administratorin oder ein Administrator die betreffende Einsendung im Backend aufruft, wobei der Angreifer die direkte Adresse dieser Einsendung kennt und gezielt ansteuern kann. Das Skript läuft dann im Kontext des WordPress-Administrationsbereichs und damit mit dessen Rechten, was etwa das Übernehmen der Sitzung, das Anlegen weiterer Konten oder Manipulationen an der Website ermöglicht.